VPN ali upravitelj gesel: kaj ustavi krajo prijavnih podatkov

VPN in upravitelj gesel se pojavljata v pogovorih o varnosti računov, vendar ščitita različne stvari. Tunel nosi zahtevo in skriva pot; upravitelj odloči, katero skrivnost ponuditi, jo hrani šifrirano v mirovanju in si jo zapomni namesto vas. Nobeden ne nadomesti drugega, načini odpovedi pa se komaj prekrivajo. Primerjava naloga za nalogo pokaže, po katero kontrolo seči, ko gre kaj narobe.

Dve nalogi v eni prijavi

Ko se prijavite, VPN odgovori na prometno vprašanje: po kateri poti gredo ti paketi in kaj vidi oddaljena stran. Upravitelj gesel odgovori na vprašanje prijavnih podatkov: katera skrivnost pripada tej strani, kje je shranjena in kaj jo v trezorju ščiti. Prvo je lastnost omrežja, drugo lastnost shranjevanja in ujemanja.

Zato brezhibno delujoč tunel ne naredi ničesar glede ponovne uporabe gesel. Ne more ustvariti edinstvene skrivnosti, opaziti, da si dva računa delita eno, ali vam preprečiti, da bi prilepili napačen vnos v prepričljivo kopijo prijavne strani. To so naloge upravitelja in nastavitve računa.

Velja tudi obratno. Trezor, poln močnih edinstvenih gesel, ne naredi ničesar proti sovražnemu omrežju, ki bere nešifrirano sejo, in ničesar proti storitvi, ki zavrača povezave iz vaše regije. Dve orodji, dva niza odpovedi, in poročilo, ki krivi napačno, zapravlja čas vseh.

Kaj lahko tunel zaščiti in kaj ne

Tunel ščiti promet na poti med odjemalcem in prehodom VPN ter glede na zasnovo tudi med prehodom in ciljem. Ta obseg je ožji, kot večina domneva ob nakupu. Ne ščiti tega, kar se zgodi po prihodu prijavnih podatkov, in ne ščiti seje, ki odide po poti, ki je tunel nikoli ni nosil.

Phishing je najbolj jasen primer. Šifrirana pot do zavajajoče strani še vedno dostavi geslo napačnemu prejemniku, tunel pa je svoje delo opravil brezhibno, medtem ko je račun izgubljen. Zlonamerna programska oprema v napravi je drugi primer: program z zadostnim dostopom do brskalnika lahko bere prijavne podatke v trenutku uporabe, ne glede na to, katera šifra ščiti žico.

Sprememba izhodnega naslova ima stranski učinek, ki se ga splača načrtovati. Storitev lahko ob prijavi iz novega omrežja zahteva dodatno preverjanje, kar je legitimna reakcija in ne napaka katerega od orodij. Ločite zahtevo, ki ste jo sprožili sami, od nepovezane zahteve po kodi.

Kako upravitelj odloči, katero geslo ponuditi

Upravitelji povežejo shranjeno prijavo z naslovi spletnih mest in uporabijo pravila ujemanja. Ta pravila so del, pomemben za varnost, in jih je mogoče nastaviti. Natančno ujemanje gostitelja je najstrožje; pravilo osnovne domene ali začne-se je bolj priročno in pokrije več poddomen, tudi tiste, ki jih niste nameravali.

Ko na neznani strani manjka pričakovana prijava, preberite naslov, preden geslo kopirate ročno. Neujemanje ima lahko nedolžno razlago, na primer drugo poddomeno po prenovi, lahko pa je tudi prvi znak, da stran ni to, kar trdi. Ročno kopiranje je natanko tisti korak, ki bi ga moral upravitelj preprečiti.

Uspešno samodejno izpolnjevanje tudi ni zagotovilo. Pravilo ujemanja, brskalnik in okolje naprave skupaj odločijo, kaj se zgodi, zato izpolnjeno polje dokazuje, da se je pravilo ujemalo, ne pa da je spletno mesto pristno.

Varnost, obnovitev in izvoz trezorja

Zaščita trezorja je stvar upravitelja. Izdelki se razlikujejo po tem, kako izpeljejo ključ, šifrirajo trezor, ga sinhronizirajo in obnovijo dostop, dokumentacija samega ponudnika pa je edini zanesljiv opis za različico, ki jo poganjate. Bitwarden na primer dokumentira šifriranje na strani odjemalca kot del svoje arhitekture, kar pomeni, da strežnik hrani šifrirano besedilo in ne samih skrivnosti.

Razumite obnovitev pred izrednim dogodkom. Pozabljeno glavno geslo brez metode obnovitve je trajna izguba, pretirano lahka metoda obnovitve pa drugi vhod. Odločite se, kakšno menjavo ste naredili, in jo zapišite.

Izvoz je del, ki ga ljudje pozabijo. Izvoz v čistem besedilu v mapi za prenose je kopija vsakega prijavnega podatka, povezava z VPN pa ga sploh ne ščiti. Če je izvoz res potreben, ga šifrirajte in dokažite, da se arhiv odpre, preden izbrišete čisto besedilo.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Vzdržujte upravitelja, brskalnik in operacijski sistem podprte. Zastarel odjemalec z dostopom do naprave je večje tveganje za shranjene prijavne podatke, kot je nešifrirano omrežje Wi-Fi za pravilno overjeno sejo.

Kje se ta dva v resnici srečata

Srečata se pri prijavnem obrazcu in nikjer drugje. Vse pred njim pripada omrežju, vse za njim pripada storitvi. Upravitelj priskrbi skrivnost, omrežje jo nosi, storitev pa odloči, ali jo sprejme. Edinstveni prijavni podatki, ustrezno dodatno preverjanje in načrt obnovitve ostanejo koristni s tunelom ali brez njega, tunel pa ostane koristen za tisto omrežno lastnost, ki jo res potrebujete.

Izberite vsako kontrolo za problem, ki ga res rešuje, in nehajte pričakovati, da ena pokrije drugo. Tunel ni trezor in trezor ni pot.